Chữ ký Schnorr và tính tất yếu của quyền riêng tư Bitcoin
Tiêu đề gốc: "Chữ ký Schnorr và tính tất yếu của quyền riêng tư Bitcoin》
Nguồn gốc: BixinInstitute
Chữ ký số là xương sống của chủ quyền trực tuyến. Sự xuất hiện của mật mã khóa công khai vào năm 1976 đã mở đường cho việc tạo ra phương tiện truyền thông toàn cầu, Internet và một dạng tiền tệ hoàn toàn mới, Bitcoin. Mặc dù các thuộc tính cơ bản của mật mã khóa công khai không thay đổi nhiều kể từ đó, nhưng hiện nay có nhiều sơ đồ chữ ký số nguồn mở trong hộp công cụ của các nhà mật mã.
Những điều cần cân nhắc khi Satoshi Nakamoto bắt đầu hình thành Bitcoin Một trong những Các lựa chọn thiết kế quan trọng là sử dụng sơ đồ chữ ký nào trong hệ thống tài chính mở, không cần cấp phép này. Các yêu cầu rất rõ ràng; Satoshi cần một thuật toán được sử dụng rộng rãi, dễ hiểu, đủ an toàn, nhẹ và quan trọng nhất là nguồn mở. Trong số tất cả các tùy chọn có sẵn vào thời điểm đó, anh ấy đã chọn một tùy chọn đáp ứng tốt nhất các tiêu chí: Thuật toán chữ ký số đường cong Elliptic (ECDSA).
Vào thời điểm đó, ECDSA được triển khai bởi OpenSSL Được hỗ trợ nguyên bản, OpenSSL là một bộ công cụ mã hóa nguồn mở được phát triển bởi một nhóm cựu chiến binh cyberpunk để cải thiện tính riêng tư của giao tiếp trực tuyến. So với các chương trình phổ biến khác, ECDSA có lợi ích là có các yêu cầu tính toán hợp lý hơn và độ dài khóa ngắn hơn; đây là những đặc tính hữu ích cho các dạng tiền kỹ thuật số. Đồng thời, nó cũng cung cấp khả năng bảo mật tương đương với các sơ đồ như RSA: ví dụ: khóa ECDSA 256 bit cũng an toàn như khóa RSA 3072 bit, nhưng ở kích thước nhỏ hơn.
Pieter Wuille và những nỗ lực khác trên một đường cong cải tiến (như đường cong elip) có tên secp256k1 đã làm cho ECDSA của Bitcoin nhanh hơn và hiệu quả hơn. Tuy nhiên, ECDSA vẫn có những khuyết điểm cố hữu và luôn có lý do để thay thế nó. Sau vài năm nghiên cứu và thử nghiệm, một sơ đồ chữ ký mới đã xuất hiện được thiết kế để cải thiện tính riêng tư và hiệu quả của các giao dịch Bitcoin: sơ đồ chữ ký số Schnorr.
Trong bài viết này, tôi Việc triển khai khác nhau của chữ ký Schnorr và các lợi ích tương ứng của chúng được nêu ra. Sau đó, tôi đã khám phá MuSig, một tiêu chuẩn đa chữ ký mới có thể đóng vai trò là nền tảng cho các công nghệ Bitcoin mới như Taproot. Cuối cùng, tôi mô tả cách một phiên bản Schnorr được triển khai đầy đủ sẽ phá vỡ các phương pháp phỏng đoán được sử dụng trong phân tích blockchain đồng thời giúp thiết lập một thị trường phí mạnh mẽ trên lớp chính của Bitcoin.
Sự nổi lên của chữ ký SCHNORR
Mặc dù lược đồ chữ ký số Schnorr tốt hơn ECDSA Có nhiều ưu điểm nhưng chắc chắn không phải là mới. Nó được phát minh bởi Claus-Peter Schnorr, một nhà mật mã học và học giả người Đức, từng là giáo sư và nhà nghiên cứu tại Đại học Frankfurt vào những năm 1980. Sơ đồ chữ ký được đề xuất của ông là sự kết hợp giữa nghiên cứu và công việc của David Chaum, Taher EIgamal, Amos Fiat và Adi Shamir. Tuy nhiên, trước khi phát hành, Claus Schnorr đã nộp đơn xin nhiều bằng sáng chế cho giải pháp mới được phát minh của mình, giải pháp này đã bị cấm sử dụng trực tiếp trong nhiều năm.
Rất thú vị, tiền thân của ECDSA , DSA, là sự kết hợp giữa các sơ đồ ElGamal và Schnorr, vốn chỉ được sử dụng để phá vỡ bằng sáng chế của Claus Schnorr. Trên thực tế, chỉ hai tháng sau khi bằng sáng chế của Schnorr tại Hoa Kỳ được cấp, người tạo ra DSA, Viện Tiêu chuẩn và Công nghệ Quốc gia (NIST), cũng đã nộp đơn xin cấp bằng sáng chế cho giải pháp của mình. Đây là một số lịch sử cơ bản của Cyberpunk: Sau đó, Claus Schnorr đã bảo vệ bằng sáng chế của mình và trả lời trực tiếp những người chỉ trích ông trên danh sách gửi thư Coderpunk (một nhánh của danh sách gửi thư Cyberpunk ban đầu) Bởi.
2008, tại Schnorr Near hai thập kỷ sau khi sơ đồ chữ ký được giới thiệu, bằng sáng chế của Claus Schnorr đã hết hạn. Thật trùng hợp, năm 2008 cũng là năm cyberpunk yêu thích của chúng tôi—Satoshi Nakamoto—triển khai Bitcoin. Mặc dù chữ ký Schnorr có thể đã được sử dụng vào thời điểm đó nhưng chúng vẫn chưa được tiêu chuẩn hóa hoặc sử dụng rộng rãi, đó có thể là động lực khiến Satoshi sử dụng ECDSA thay thế. Mặc dù thường được các nhà mật mã và toán học mô tả là tàn bạo, nhưng ECDSA đã (và vẫn) được sử dụng rộng rãi và cung cấp một giải pháp thay thế an toàn hơn cho Bitcoin vào thời điểm đó.
SCHNORR trên Bitcoin
Mười năm sau, kế hoạch Schnorr Less bí truyền ngày nay, việc triển khai được tiêu chuẩn hóa như ed25519 là một lựa chọn phổ biến đối với một số altcoin. Cuộc thảo luận không chính thức về khả năng triển khai Schnorr trên Bitcoin bắt nguồn từ chủ đề này trên BitcoinTalk vào năm 2014, nhưng vào thời điểm Pieter Wuille viết Schnorr BIP, đề xuất này chỉ được chính thức hóa sau nhiều năm nghiên cứu và thử nghiệm. . Dự thảo BIP này mô tả các thông số kỹ thuật và chi tiết kỹ thuật của việc triển khai Schnorr tiềm năng sẽ có những ưu điểm sau so với ECDSA:
Bằng chứng bảo mật: Khi sử dụng hàm băm đủ ngẫu nhiên (mô hình oracle ngẫu nhiên) và Bài toán logarit rời rạc đường cong Elliptic (ECDLP) được sử dụng trong chữ ký Khi đủ khó khăn, tính an toàn của chữ ký Schnorr rất dễ chứng minh. Không có chứng nhận nào như vậy tồn tại đối với ECDSA.
Không dễ uốn: ECDSA Chữ ký vốn có tính linh hoạt, có thể cho phép bên thứ ba thay đổi chữ ký hợp lệ hiện có và chi tiêu gấp đôi số tiền mà không cần truy cập vào khóa riêng. Câu hỏi này có tại BIP62 được thảo luận chính thức trong . Ngược lại, chữ ký Schnorr được chứng minh là không dễ uốn nắn.
Tuyến tính: Chữ ký Schnorr có một đặc tính rõ ràng đến mức nhiều bên có thể Cộng tác để tạo chữ ký hợp lệ cho tổng khóa công khai của họ. Đây là khối xây dựng cho nhiều cấu trúc nâng cao hơn như đa chữ ký và các hợp đồng thông minh khác được sử dụng để cải thiện hiệu quả và quyền riêng tư.
Bảo mật được cung cấp bởi Schnorr The bằng chứng và sự đảm bảo không thể mở rộng của nó có lợi thế rõ ràng so với ECDSA. Một soft fork chỉ có thể được biện minh dựa trên hai lợi ích này. Tuy nhiên, các tính chất tuyến tính của Schnorr đặc biệt thú vị. Về cơ bản, điều này cho phép nhiều người ký trong giao dịch nhiều chữ ký kết hợp khóa công khai của họ thành khóa tổng hợp đại diện cho nhóm; thuộc tính này được gọi là tập hợp khóa.
Mặc dù phím tổng hợp khả năng nghe có vẻ tầm thường nhưng chúng ta không nên đánh giá thấp lợi ích của việc tổng hợp khóa. Vì ECDSA vốn không hỗ trợ đa chữ ký nên nó phải được triển khai bằng Bitcoin thông qua hợp đồng thông minh được tiêu chuẩn hóa (vâng, Bitcoin có hợp đồng thông minh) được gọi là Pay-to-ScriptHash (P2SH). Điều này cho phép người dùng thêm các điều kiện chi tiêu được gọi là trở ngại để chỉ định việc sử dụng tiền, chẳng hạn như "Chỉ có thể sử dụng số dư đã mở khóa mà cả Alice và Bob đã ký vào tin nhắn này."
Vấn đề đầu tiên với P2SH là nó cần biết tất cả những người tham gia multisig Khóa chung của người ký, đây không phải là một hệ thống hiệu quả. Việc tổng hợp các khóa này sẽ cho phép xác minh hiệu quả hơn vì mạng chỉ cần xác minh một khóa thay vì n khóa. Điều này cũng có nghĩa là dấu chân blockchain nhỏ hơn, chi phí giao dịch thấp hơn và băng thông được cải thiện.
Cái thứ hai của P2SH Vấn đề là nó cung cấp rất ít sự đảm bảo về quyền riêng tư. Theo BIP 13, giao dịch P2SH yêu cầu sử dụng một địa chỉ khác bắt đầu bằng số 3. Điều này cho phép người quan sát blockchain không chỉ xác định tất cả các giao dịch P2SH trong mạng mà còn xác định chính xác danh tính trong nhiều chữ ký:
Không tốt.
Trong ví dụ trên, mạng sẽ nhận thức được (1) sự tồn tại của giao dịch nhiều chữ ký, (2) giao dịch đó bao gồm bao nhiêu người ký và (3) người ký là ai. Điều này gây bất lợi cho an ninh vận hành, đặc biệt đối với các trường hợp sử dụng như 2FA. Điều này không tốt cho sự riêng tư.
Mặt khác, việc tổng hợp Khóa bí mật cho phép người ký giữ ẩn danh mà không ảnh hưởng đến bảo mật hoạt động bằng cách tiết lộ các khóa cần thiết để mở khóa số dư. Quan trọng nhất, việc tổng hợp khóa làm cho nhiều chữ ký không thể phân biệt được với các giao dịch thông thường:
Tốt.
Schnorr là Bitcoin đầu tiên việc lặp lại sẽ loại bỏ các họ opcode OP_CHECKSIG và OP_CHECKMULTISIG hiện đang được sử dụng với ECDSA để thay thế bằng một lớp mới có tên OP_CHECKDLS. Không đi sâu vào chi tiết ở đây, DLS là viết tắt của Ký nhật ký rời rạc, cho phép chữ ký được xác minh hiệu quả hơn bằng cách sử dụng ít mã hơn.
Đầu năm 2018, Gregory Maxwell, Andrew Poelstra, Yannick Seurin và Pieter Wuille đã xuất bản sách trắng về sơ đồ đa chữ ký mới dựa trên Schnorr có tên là MuSig. Kể từ khi phát hành MuSig, họ đã làm việc chăm chỉ để chuyển đổi sơ đồ đa chữ ký được đề xuất thành mã có thể sử dụng được.
Điều thú vị nhất về MuSig là trong bối cảnh tập hợp khóa Một trong những điều đó là khả năng tạo ra các hợp đồng thông minh riêng tư bên ngoài blockchain. Về cơ bản, MuSig cho phép những người tham gia nhiều chữ ký gắn quyền đặt cược vào khóa tổng hợp ngoài chuỗi, điều này không yêu cầu các quy tắc đồng thuận của Bitcoin để biết điều đó.
Tháng 12 năm 2018, Anthony Towns là nhà phát triển cốt lõi đầu tiên đưa ra đề xuất bán chính thức để kích hoạt Schnorr, đề xuất này đã được đăng trên danh sách gửi thư phát triển Bitcoin. Tôi hy vọng sẽ có nhiều cuộc thảo luận hơn về các soft fork tiềm năng trong những tháng tới.
Tóm tắt: Bitcoin The lần lặp đầu tiên của MuSig sẽ hỗ trợ tổng hợp khóa, có thể ngay lập tức (1) cải thiện tính riêng tư của nhiều chữ ký, (2) cải thiện hiệu quả xác minh giao dịch, (3) cải thiện bảo mật bằng cách loại bỏ các vấn đề cố hữu của ECDSA, (4) Kích hoạt các giải pháp hợp đồng thông minh như Taproot mà tôi dự định sẽ nói sau.
Nhưng đây chỉ là bắt đầu .
Nhập chéo Tổng hợp: Bước tiếp theo cho quyền riêng tư
Như đã đề cập ở phần trước, tập hợp khóa là một tính năng rất hữu ích cho nhiều chữ ký chỉ tốn một đầu vào. Vì các giao dịch Bitcoin thường có nhiều hơn một đầu vào, nên các lần lặp lại trong tương lai của Schnorr có thể được tận dụng để tạo ra các sơ đồ chữ ký tổng hợp tương tác (IAS) trong đó tất cả đầu vào trong giao dịch được sử dụng đồng thời với một chữ ký duy nhất.
Một lần nữa, sự tương tác giữa những người ký là hoàn toàn ngoài chuỗi, nhưng giờ đây, một chữ ký duy nhất có thể được sử dụng để chi tiêu tất cả thông tin đầu vào của một giao dịch. Mỗi đầu vào vẫn có khóa công khai riêng nhưng Schnorr IAS có thể sử dụng:
Greg Maxwell, Pieter Wuille, Anthony Towns và những người khác đang nghiên cứu Thông tin Taproot Các chương trình hợp đồng đã phát triển để tạo điều kiện thuận lợi cho chức năng này. Họ gọi sơ đồ này là Generalized Taproot hoặc G'root, giúp chuyển đổi các tập hợp khóa thành các tập hợp đầu vào chéo dễ dàng hơn trong tương lai.
Giống như tập hợp khóa , tổng hợp đầu vào chéo giúp cải thiện hơn nữa hiệu quả của các giao dịch Bitcoin. Nhưng quan trọng nhất, nó cho phép các cơ chế bảo vệ quyền riêng tư mạnh mẽ trên lớp cơ sở của Bitcoin.
Tập hợp đầu vào chéo là hiệu quả nhất Một trong những khía cạnh thú vị là nó có thể cải thiện các giao dịch CoinJoin trên Bitcoin. Để cung cấp một số thông tin cơ bản, CoinJoin là một công nghệ bảo vệ quyền riêng tư trong đó nhiều người gửi và người nhận được kết hợp trong một giao dịch. Mục tiêu là gây khó khăn cho _người quan sát blockchain_ trong việc liên kết người gửi và người nhận cụ thể, từ đó cho phép các thực thể trong CoinJoin đưa ra yêu cầu từ chối hợp lý.
Công nghệ này ban đầu được phát triển bởi Greg Maxwell trên BitcoinTalk năm 2013 Đề xuất, và kể từ đó đã được cung cấp cho người dùng thông qua nhiều dịch vụ khác nhau, bao gồm JoinMarket, SharedCoin, ShufflePuff, DarkWallet và CoinShuffle. Các biến thể của CoinJoin, chẳng hạn như sơ đồ Chaumian CoinJoin được sử dụng trong ví Wasabi, là những cải tiến vượt bậc so với mô hình ban đầu. Tuy nhiên, vì Anonymous yêu thích công ty nên nó vẫn dựa vào đủ số lượng người dùng để làm xáo trộn số dư của họ.
Một vấn đề khác với CoinJoin ngày nay là khả năng nhận dạng của toàn bộ loại giao dịch tình dục (và khả năng kiểm duyệt). Hãy xem xét rằng phương pháp phỏng đoán phổ biến nhất được sử dụng trong phân tích blockchain ngày nay là chú ý kỹ đến một đầu vào cụ thể để xác định xem hai hoặc nhiều địa chỉ có thuộc cùng một thực thể hay không. Ví dụ: nếu Alice gửi Bob 1.982723 BTC, người quan sát blockchain có thể theo dõi số thập phân của đầu vào cụ thể đó để lập biểu đồ giao dịch hoặc theo dõi phân tích lịch sử và những thay đổi về quyền sở hữu UTXO.
Để ngăn chặn điều này Trong trường hợp này, việc triển khai CoinJoin yêu cầu một mệnh giá giá trị chung, trong đó mọi người trong CoinJoin gửi số tiền như nhau. Ví dụ: một người dùng ví Wasabi đã gửi cùng mệnh giá 0,1BTC trong giao dịch CoinJoin với 100 người tham gia. Mặc dù vẫn khó xác định kết nối giữa người gửi và người nhận cụ thể, nhưng những người quan sát blockchain có thể tìm kiếm các mệnh giá chung để xác định điều gì đã xảy ra với CoinJoin và khuyên khách hàng của họ xem xét tất cả các thực thể có liên quan.
Có thể tổng hợp đầu vào chéo Tình huống này hữu ích vì nó đưa ra các cơ chế che giấu bổ sung ở lớp giao thức. Về cơ bản, việc tổng hợp đầu vào chéo có thể xây dựng giao dịch CoinJoin dựa trên Schnorr trong đó n người ký trông giống như một giao dịch một người ký thông thường đối với người ngoài. Điều này cũng có thể giúp CoinJoin dễ triển khai hơn trong các ví phổ biến mà không cần kỹ thuật nặng, điều này có thể làm tăng tính ẩn danh tổng thể của mạng hoặc số lượng người dùng sử dụng công nghệ này.
Các vấn đề chung về mệnh giá có thể xảy ra được giải quyết bằng Các công nghệ khác giải quyết vấn đề này hơn nữa, chẳng hạn như Pay-to-EndPoint (P2EP), kết hợp công việc bảo mật ban đầu của Satoshi Nakamoto (xem P2IP) kết hợp với CoinJoin, trong đó cả người gửi và người nhận đều cung cấp thông tin đầu vào cho giao dịch. Công nghệ mới này xứng đáng có bài đăng riêng nhưng bạn có thể xem thử tại tại đây, tại đây và Đây Đọc thêm về nó.
P2EP tương thích ngược khi được sử dụng với Schnorr, có thể đạt được đủ quyền riêng tư trong lớp cơ sở của Bitcoin.
giết hai chim với một viên đá
Chúng tôi có thể. Thật hợp lý khi cho rằng việc áp dụng hàng loạt Bitcoin phụ thuộc vào độ mạnh của các đảm bảo quyền riêng tư của nó. Đồng thời, sự phổ biến của Lightning Network và tiềm năng hỗ trợ thanh toán riêng tư của nó cũng tạo ra sự không chắc chắn về nhu cầu thanh toán trực tuyến trong tương lai sau khi Bitcoin cuối cùng được khai thác. Do đó, nhu cầu về quyền riêng tư và tính bền vững lâu dài của Bitcoin mà không cần phần thưởng khối có lẽ là hai vấn đề đáng lo ngại nhất đối với Bitcoin hiện nay. Rất may, cơ chế bảo mật do Schnorr kích hoạt đã giải quyết được cả hai vấn đề.
Tôi đã dành hàng nghìn giờ để đánh giá các công nghệ bảo mật phức tạp khác nhau, bao gồm Chữ ký vòng, Giao dịch bí mật, Chống đạn, zkSNARK, STARK và các cách triển khai khác nhau của MimbleWimble. Mặc dù một số công nghệ này đã đủ trưởng thành để triển khai trên lớp cơ sở của Bitcoin, nhưng chúng vẫn đi kèm với những rủi ro và sự đánh đổi riêng. Như bạn có thể đã nghe nói, Bitcoin không thích hard fork, điều này gây khó khăn cho việc tưởng tượng một kịch bản trong đó bất kỳ công nghệ nào trong số này có thể được triển khai.
Mọi người có vẻ đang lo lắng nhiều lần Sử dụng mã hóa đồng cấu hoặc hệ thống chứng minh không có kiến thức không tương tác vì chúng ngăn cản khả năng nghe được đầy đủ cơ sở tiền tệ Bitcoin. Nói cách khác, khi mã hóa giá trị giao dịch, rất khó để xác minh xem giới hạn nguồn cung của Bitcoin có thực sự là 21 triệu BTC hay không. Tương tự như vậy, khi số tiền giao dịch bị ẩn, lỗi lạm phát và chi tiêu gấp đôi trở nên khó xác định. Đây là một sự đánh đổi khá lớn và việc thúc đẩy triển khai quyền riêng tư tiên tiến ở lớp cơ sở của Bitcoin có thể gây chia rẽ cộng đồng.
Tuy nhiên, nếu lớp cơ sở của Bitcoin có đủ thì còn quyền riêng tư, không có thậm chí thực hiện những công nghệ này?
Schnorr chắc chắn có thể giúp bạn . Nếu hầu hết các giao dịch Bitcoin được thực hiện bằng tính năng tổng hợp đầu vào chéo của Schnorr kết hợp với P2EP, thì gần như không thể giải mã được người gửi và người nhận cụ thể chỉ bằng cách nhìn vào chuỗi khối. Nguồn cung Bitcoin vẫn sẽ được kiểm tra, nhưng các giao dịch của nó cũng sẽ mang lại sự đảm bảo quyền riêng tư mạnh mẽ hơn.
Nếu có lo ngại về nhu cầu về quyền riêng tư, cũng hợp lý khi cho rằng cả người dùng Bitcoin và doanh nghiệp đều có thể muốn tham gia một cách thụ động vào các giao dịch CoinJoin và để ví của họ liên tục trộn số dư của họ trong nền. Trong trường hợp này, nhu cầu về quyền riêng tư trực tiếp dẫn đến phí giao dịch trên chuỗi tăng lên. Giống như SegWit, người dùng rất có thể là những người đầu tiên ủng hộ việc áp dụng công nghệ, nhưng đến một lúc nào đó, các doanh nghiệp phải làm theo để duy trì sự phù hợp.
Theo thời gian, việc áp dụng những điều này các công nghệ sẽ làm cho việc phân tích blockchain trở nên lỗi thời và loại bỏ một cách hiệu quả các thủ tục AML/KYC cần thiết cho các doanh nghiệp Bitcoin, giống như tiền mặt vật chất. Khi bạn gửi tiền mặt vào tài khoản ngân hàng, ngân hàng sẽ không kiểm tra tiền giấy để tìm dấu vết ma túy và chặn tiền gửi của bạn nếu phát hiện ma túy. Khi phân tích blockchain ngày càng phát triển, cùng với những thiếu sót của các công nghệ như CoinJoin của Schnorr, không có lý do gì để nghĩ rằng Bitcoin đã tiến xa đến mức này.
Khi ở một địa chỉ cụ thể và Khi AML/KYC trên UTXO không còn phù hợp nữa và trọng tâm chuyển sang các cá nhân thay vì số dư, các doanh nghiệp Bitcoin sẽ hoàn toàn nắm bắt được quyền riêng tư. Trên thực tế, tôi nghi ngờ rằng khi điều này xảy ra, quyền riêng tư và tính linh hoạt sẽ trở thành một phần không thể thiếu trong đề xuất giá trị doanh nghiệp của Bitcoin trong tương lai.
Cuối cùng, cơ chế bảo mật mạnh mẽ hơn sẽ tiếp tục trao quyền cho người dùng , đồng thời, giúp tạo ra thị trường phí giao dịch sôi động sau khi đồng Bitcoin cuối cùng được khai thác. Tôi đoán là mọi chuyện bắt đầu từ việc kích hoạt Schnorr và dường như mọi người đều có liên quan.
Tác giả: Cảm ơn Pieter Wuille Phản hồi rộng rãi về bài viết này và kiến thức nó truyền đạt cho tôi về Schnorr. Kể từ bài đánh giá của anh ấy, tôi đã thực hiện một số thay đổi để đơn giản hóa các khái niệm chính được trình bày ở đây. Bất kỳ sai sót và ý kiến được trình bày trong bài viết này là của riêng tôi.
Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:
Nhóm Telegram đăng ký: https://t.me/theblockbeats
Nhóm Telegram thảo luận: https://t.me/BlockBeats_App
Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia
Bài viết liên quan
